Үй лабораториясынын гипервизору VPN аркылуу жеткиликсиз: кайдан кароо керек

Туннель көтөрүлөт, гипервизордун веб-баракчасы убакыт чегине жетет, ал эми кардар туташканын айтат. Бул айкалыш таң каларлык көп нерсени жокко чыгарат: VPN кол алышуусу иштейт, кардарда дарек бар жана акыркы чекитке жетүүгө болот. Калганы маршруттоо жана саясат боюнча суроолордун кыска тизмеси, алардын табигый тартиби бар. Аларды кардардан ичке карай эмес, гипервизордон сыртка карай иштетиңиз, анткени гипервизордун өз абалын ырастоо эң арзан нерсе.

Башкаруу сегментинен баштаңыз

Гипервизордун башкаруу дарегин жана анда угуп жаткан кызматты ырастаңыз, ошондой эле кандайдыр бир алыскы диагностикага чейин баракчанын ошол сегменттеги башка хосттон жүктөлөрүн ырастаңыз. Ийгиликсиз жергиликтүү тест VPN маселеси эмес жана бул бир саатты үнөмдөгөн беш мүнөттүк текшерүү.

Анан эки жол. VPN кардарына башкаруу тармагына маршрут керек, бул адатта кардардын AllowedIPs же түртүлгөн маршруттары ошол кошумча тармакты камтыйт дегенди билдирет. Гипервизорго же анын демейки шлюзуна кардар даректеринин пулуна кайтуу жолу керек, эгер дизайн кирүүдө булакты атайын которбосо. Бул эки өзүнчө факт жана экөөнүн бири жок болсо ошол эле убакыт чеги келет. Аларды өзүнчө текшериңиз: кардарда ip route get 192.168.10.20, жана гипервизор хостунда пакеттин такыр келгенин көрсөткөн кармоо.

Чыныгы алыскы администраторго уруксат бериңиз

Авторизация жеткиликтүүлүктөн өзүнчө суроо. Шлюз жана хост саясатын башкаруу мүмкүнчүлүгү керек болгон булактар жана кызматтар менен чектеңиз. Бир лабораториялык колдонмо керек болгон конок VPN эсеби ошонун аркасы менен башкаруу тегиздигине жетпеши керек, ал эми бүт туннель кошумча тармагын кабыл алган тегиз эреже — ушундай болуп калган жол.

Гипервизордун өз аутентификациясын жана сертификат текшерүүлөрүн күйүк тутуңуз. Жеке маршрут күтүлбөгөн инсандык эскертүүсүнөн өтүүгө себеп эмес.

Эскертүүнү тоскоол эмес, табылга катары кароого татыктуу. Эгер сертификат сиз колдонгон атка дал келбесе, ат туура эмес же кызмат сиз ойлогондой эмес, жана эки жооп тең башкаруу интерфейсинде башка жердегиден маанилүүрөөк. Баракчага сертификат берилген ат менен жетиңиз жана DNS ошол атты туннелдин дарегине багыттасын. LAN менен туннелдин ортосунда ыраатсыз чечилген жеке ат VPN бузулушуна окшош сертификат кайрылууларынын кеңири тараган себеби.

Кошумча байланыштарды текшериңиз

Айрым функциялар веб-баракча колдонбогон байланыштарды колдонот. Консолдук сессия, ISO жүктөө, VNC же SPICE проксиси жана көчүрүү каналы ар бири башка портту же башка хост дарегин колдонушу мүмкүн. Баракча жүктөлүп, бир функция иштебей калганда, хосттогу бардык портту ачуунун ордуна ошол продукттун талабын окуңуз.

Баарын ачуу — башкаруу интерфейсинин башкарылбаган интерфейске айлануу жолу. Ар бир кошумча порт жаңыртылып турушу керек болгон дагы бир угуучу, ал эми гипервизор алардын жетиштүүсүн мурунтан эле ачат. Функцияга керек болгон так байланышты аныктаңыз, анын туннель аркылуу жеткиликтүү экенин ырастаңыз, ал эми калганын жабык калтырыңыз. Эгер функция туннель аркылуу маршрутталбаган хост дарегине түз байланышты талап кылса, бул атайын айланып өтүү керек болгон дизайндык чектөө, диапазонду кайра багыттоого себеп эмес.

Тармакка тийүүдөн мурун кайтуу жолун сактаңыз

Өз VPN-иңизди ташыган виртуалдык тармакты өзгөртүүдөн мурун жергиликтүү же көз карандысыз кайтуу жолуңуз бар экенин ырастаңыз.

Бул үй лабораториясында эң маанилүү, анткени VPN акыркы чекити көбүнчө жетүүгө аракет кылган гипервизордун өзүндөгү виртуалдык машина. Виртуалдык коммутаторду, көпүрөнү же файрвол эрежесин алыстан өзгөртүү колдонуп жаткан жолуңузду жок кылышы мүмкүн, ал эми сессия муну көрүүгө жеткидей узак жашашы мүмкүн.

LAN-дан эмес, лабораториянын сыртынан сынаңыз жана уруксаттар менен катар баш тартууларды да текшериңиз. Туннелден жеткиликсиз бойдон калышы керек болгон тармак өзгөртүүңүздөн кийин да жеткиликсиз бойдон калышы керек, жана бул башкаруу баракчасынын жүктөлүшүнөн өзүнчө ырастоо. Эки жыйынтыкты тең жазып коюңуз, анткени экинчиси көңүлдөн калат жана лаборатория өскөндө ошол маанилүү болот.

Сактала турган жазуу кыска: башкаруу дареги жана кызматы, ар бир тарапка керек маршрут, жетүүгө уруксат берилген инсандар жана калыбына келтирүү жолу. Бул кийинки адамга иштеп жаткан абалды кайра чыгарбастан кайра жаратууга жетиштүү.

Ушунун баарынан кийин да баракча убакыт чегине жетсе, дагы бир эрежени өзгөртүүдөн мурун гипервизордо кармоо жасап, пакетти издеңиз. Эч качан келбеген пакет — маршруттоо же файрвол суроосу; келип, четке кагылган пакет — кызмат же саясат суроосу; келип, кардар күтүп турганда жооп алган пакет — кайтуу жолунун суроосу. strongSwanдын кайра багыттоо документтери Linux шлюзунун туннель трафигин ички хостко кантип берээрин түшүндүрөт. Үч кармоо дагы бир божомолдон артык.